Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit
GELÖST

Logische Trennung ausreichend (DMZ)?

Frage Netzwerke LAN, WAN, Wireless

Mitglied: ThomasAnderson

ThomasAnderson (Level 1) - Jetzt verbinden

22.05.2014, aktualisiert 17.06.2014, 1697 Aufrufe, 5 Kommentare, 3 Danke

Hallo,

ich kenne aus den Vorlesungen die strikte Trennung:

Internet<--->Firewall<--->DMZ<--->Firewall<--->internes Netz
rot - orange - grün

Beim NW Redesign geht es jetzt darum, die Netze nicht nur redundant auszulegen sondern auch eventuelle Sicherheitsfehler zu beheben.
Dass eine physikalische Trennung zw. den Zonen die sauberere ist ist klar.

Aber reicht eine logische Trennung (über VLANs) auch aus? (Es gibt ja auch Möglichkeiten wie VLAN Hopping etc.).
Also die Firewalls können theoretisch nicht umgangen werden, da die Verbindungen immer über die VLANs zur FW geroutet werden, aber rein physikalisch wäre das möglich.

Wir haben Drucker Netzte etc. auch "nur" über VLANs getrennt, wie es ja eigentlich üblich ist. Aber ich denke nicht, dass diese Trennung einem FW Konzept von der Schwere her gleich gilt.

Vielen Dank für Eure Tipps.

Gruß
Mitglied: brammer
LÖSUNG 22.05.2014, aktualisiert 17.06.2014
Hallo,

abhängig davon wie gut der Angreifer ist. kann das reichen, es bleibt aber ein Restrisiko das mir persönlich zu hoch wäre.

Bei dynamischen VLAN's mit MAC Adress Identifikation bleibt das Risiko das ein Angriefer von innen durch MAC adress Spoofing in ein VLAN kommt in das er nicht soll.

Eine DMZ sollte immer aus (min.) 2 physikalischen Geräten + Redundanz auf beiden Seiten, also insgesamt 4 oder mehr Geräte bestehen.

brammer
Bitte warten ..
Mitglied: ThomasAnderson
22.05.2014 um 13:46 Uhr
Hi,

mit 4 Geräten meinst Du wahrscheinlich jeweils red-orange und orange-green redundante Firewalls?
Bitte warten ..
Mitglied: brammer
22.05.2014 um 13:48 Uhr
Hallo,

ja.
Auf beiden Seiten sollte eine Redundanz vorhanden sein.

brammer
Bitte warten ..
Mitglied: Lochkartenstanzer
22.05.2014 um 14:36 Uhr
Zitat von ThomasAnderson:

Wir haben Drucker Netzte etc. auch "nur" über VLANs getrennt, wie es ja eigentlich üblich ist. Aber ich denke
nicht, dass diese Trennung einem FW Konzept von der Schwere her gleich gilt.

Das hängt von sehr viele Faktoren ab, wie der vorhandenen hardware, wie gut der Admin ist, der das Konfiguriert, welche Bugs die Firmware hat, auf welcher basis das VLAN aufgespannt wird, etc.

Wie immer muß man einfach das Risiko gegen den Aufwand abwägnen und die Lösung hinstellen, die das Budget verkraftet und einen ruhig schlafen läßt.

ist wie bei den banken auch. da könnte man auch das Onlinebanking so sicher machen, daß kaum noch Angriffe möglich sind, Aber das kostet so viel Geld, daß die banken es lieber den Schaden durch phishing in kauf zu nehmen, weil das blliger für sie ist.

lks
Bitte warten ..
Mitglied: ThomasAnderson
02.06.2014 um 13:47 Uhr
Hat noch jemand ein gutes Beispiel? Wie z.B. wenn auf einem Switch ausversehen das selbe VLAN eingerichtet wird, kann die DMZ umgangen werden wenn diese rein logisch vorliegt.

Ansonsten @Lochkartenstanzer: Ich denke das Risiko ist hoch genug
Bitte warten ..
Neuester Wissensbeitrag
Internet

Unbemerkt - Telekom Netzumschaltung! - BNG - Broadband Network Gateway

(3)

Erfahrungsbericht von ashnod zum Thema Internet ...

Ähnliche Inhalte
Netzwerkmanagement
gelöst Macht eine VPN Verbindung in eine DMZ sinn? (8)

Frage von M.Marz zum Thema Netzwerkmanagement ...

LAN, WAN, Wireless
gelöst Trennung von Netzwerkbereichen via V-Lan (19)

Frage von Uwoerl zum Thema LAN, WAN, Wireless ...

Firewall
gelöst Sophos UTM DMZ und VLAN (2)

Frage von DaPedda zum Thema Firewall ...

Netzwerkmanagement
gelöst Proxy für den Betrieb in einer DMZ oder im LAN (12)

Frage von M.Marz zum Thema Netzwerkmanagement ...

Heiß diskutierte Inhalte
Windows Server
Outlook Verbindungsversuch mit Exchange (15)

Frage von xbast1x zum Thema Windows Server ...

Grafikkarten & Monitore
Tonprobleme bei Fernseher mit angeschlossenem Laptop über HDMI (11)

Frage von Y3shix zum Thema Grafikkarten & Monitore ...

Microsoft Office
Keine Updates für Office 2016 (11)

Frage von Motte990 zum Thema Microsoft Office ...